Microsoft MD-102: Administracja Intune i ład — Przewodnik do nauki

By Laurynas Brazys · 5 August 2026 · #microsoft #md-102 #certification #exam-prep #study-guide

Część Microsoft Endpoint Administrator Associate MD-102 — Przewodnik do nauki. Ćwicz ze zweryfikowanymi odpowiedziami w centrum egzaminów Microsoft, albo rozwiąż testy na czas na ExamRoll.io.

Przegląd

Administracja i zarządzanie Intune koncentrują się na dostępie z najniższymi uprawnieniami, ograniczonej widoczności, kontrolowanych zmianach i powtarzalnej konfiguracji. Kontrola dostępu oparta na rolach (RBAC) i tagi zakresu (scope tags) definiują, kto, co i gdzie może robić. Przepływy pracy zatwierdzania kontrolują działania wysokiego ryzyka. Specjalistyczne konektory integrują się z lokalnym Active Directory w scenariuszach dołączania hybrydowego (hybrid join). Tenanty edukacyjne używają uproszczonych przepływów opartych na danych o składach klas/grup. Pakiet Microsoft Intune Suite rozszerza możliwości operacyjne o zaawansowaną analitykę, bezpieczną pomoc zdalną i VPN per-aplikacja. Na koniec, zdyscyplinowane praktyki eksportu/importu i „konfiguracji jako kod” (configuration as code) umożliwiają migracje między tenantami i zapewniają ciągłość działania.

Administracja oparta na rolach, tagi zakresu i zatwierdzanie przez wielu administratorów

Używaj ról Entra ID do nadawania uprawnień do Intune na poziomie całego tenanta, a Intune RBAC do stosowania szczegółowych uprawnień wewnątrz Intune. Rola Intune Administrator (wcześniej Intune Service Administrator) w Microsoft Entra ID zapewnia pełną kontrolę administracyjną nad Intune. Zarezerwuj ją dla właścicieli platformy. Wewnątrz Intune, wbudowane role RBAC nadają ograniczone, specyficzne dla zadań uprawnienia. Rola Help Desk Operator jest przeznaczona dla wsparcia pierwszej linii: może odczytywać szczegóły urządzeń i użytkowników oraz wykonywać ograniczone akcje zdalne (np. synchronizacja, zdalne blokowanie, resetowanie hasła), ale nie może tworzyć, edytować ani usuwać polityk. Inne wbudowane role, takie jak Policy and Profile Manager, Application Manager, Endpoint Security Manager i Read Only Operator, obejmują typowe obowiązki bez szerokiego podnoszenia uprawnień. Twórz role niestandardowe, gdy musisz dostosować zestawy uprawnień poza wbudowanymi; wybieraj tylko wymagane uprawnienia i unikaj ich nadawania z przyzwyczajenia.

Przypisania RBAC łączą rolę z:

Grupą administracyjną (użytkownicy/administratorzy otrzymujący rolę)
Zakresem (grupy urządzeń/użytkowników, którymi rola może zarządzać)
Tagami zakresu (scope tags) (etykiety ograniczające, które obiekty administrator może widzieć i do których może kierować działania)

Tagi zakresu wymuszają „wycinek” tenanta. Oznaczaj swoje obiekty (aplikacje, polityki, skrypty, profile) i stosuj te same tagi do przypisania roli. Administrator z przypisaniem roli ograniczonym do tagu zakresu „Region-EU” będzie widział i działał tylko na obiektach oznaczonych tagiem „Region-EU”. Tagi zakresu nie kontrolują kierowania polityk; kontrolują widoczność i zasięg działania administratora. Planuj tagi tak, aby odzwierciedlały granice operacyjne, takie jak region, jednostka zależna czy środowisko (Produkcyjne, Pilotażowe). Utrzymuj mały, stabilny zestaw tagów, przypisuj domyślne tagi podczas tworzenia obiektów i okresowo przeprowadzaj audyt nieoznaczonych obiektów.

Zatwierdzanie przez wielu administratorów (Multi-admin approval, MAA) chroni wrażliwe zmiany w Intune, wymagając zatwierdzenia przez drugiego administratora przed zakończeniem akcji. W sekcji administracji tenantem zdefiniuj polityki zatwierdzania, które określają, które typy zasobów i operacje są kontrolowane (np. tworzenie, aktualizowanie, usuwanie lub przypisywanie aplikacji i polityk; wdrażanie skryptów; lub stosowanie akcji wpływających na wielu użytkowników/urządzenia, jak przypisanie do grup Wszyscy Użytkownicy/Wszystkie Urządzenia). Przypisz zaufane grupy zatwierdzających i ustaw okna wygaśnięcia dla żądań. Wnioskodawcy nie mogą zatwierdzać własnych zmian, a aktywność jest rejestrowana w dziennikach audytu. MAA jest egzekwowane przez centrum administracyjne Intune i Graph, wspierając dogłębną obronę (defense-in-depth) dla operacji o dużym wpływie i jest zgodne z wymogami rozdziału obowiązków (separation of duties).

Tenanty edukacyjne i Intune Connector for Active Directory

Intune for Education to uproszczony portal i model polityk dostosowany do potrzeb szkół. Udostępnia on popularne ustawienia urządzeń za pomocą uproszczonych szablonów, optymalizuje system Windows do użytku współdzielonego (tryb Shared PC) i ułatwia przypisywanie aplikacji do klas. School Data Sync (SDS) pobiera dane o składach klas z systemów informacyjnych dla uczniów lub plików CSV, aby tworzyć i utrzymywać klasy, nauczycieli i grupy uczniów w Entra ID. Te dynamiczne grupy stają się podstawą do przypisywania urządzeń i aplikacji — nauczyciele otrzymują aplikacje dla nauczycieli; uczniowie otrzymują aplikacje z programem nauczania; pracownie dziedziczą profile kiosku lub blokady egzaminacyjnej. Zintegruj z Apple School Manager i rejestracją Google odpowiednio dla flot urządzeń Apple i Android, a także używaj Autopilot do szybkiego provisioningu systemu Windows przy minimalnej interwencji IT. Widok edukacyjny ukrywa złożoność, zachowując jednocześnie standardowe mechanizmy Intune dla RBAC, tagów zakresu i raportowania.

Dołączenie hybrydowe do Azure AD (Hybrid Azure AD join) z Autopilot wymaga Intune Connector for Active Directory. Zainstaluj konektor na serwerze Windows Server dołączonym do domeny, który ma bezpośrednią widoczność kontrolerów domeny i dostęp wychodzący przez HTTPS do Intune. Hybrydowy Autopilot używa przepływu pracy dołączania do domeny w trybie offline (offline domain join, ODJ): podczas provisioningu Intune wysyła sygnał do konektora, aby utworzył konto komputera w docelowej jednostce organizacyjnej (OU) zdefiniowanej w profilu dołączania do domeny, zwraca obiekt blob ODJ do urządzenia i kończy proces dołączania do domeny. Urządzenie musi mieć możliwość komunikacji z kontrolerami domeny podczas provisioningu. Podczas OOBE preferuj dostęp do sieci przewodowej lub lokalnej, albo użyj wstępnego provisioningu Autopilot (pre-provisioning), aby przygotować urządzenia wewnątrz sieci. Utrzymuj wiele konektorów w celu zapewnienia odporności na awarie i ogranicz ich uprawnienia do drzewa OU, którym zarządzają.

Dodatki do pakietu Intune Suite i Microsoft Tunnel

Pakiet Microsoft Intune Suite rozszerza zestaw narzędzi operacyjnych usługi Intune:

Advanced Endpoint Analytics rozszerza podstawową analitykę o wykrywanie anomalii, głębsze analizy niezawodności aplikacji i zalecane działania naprawcze. Pomaga kwantyfikować doświadczenie użytkownika, wskazywać regresje po aktualizacjach i priorytetyzować poprawki według wpływu na działalność biznesową.
Remote Help zapewnia bezpieczną pomoc zdalną dla systemów Windows i Android Enterprise. Integruje się z Intune RBAC i Conditional Access, obsługuje podniesienie uprawnień w trakcie sesji dla monitów UAC i rejestruje szczegółową telemetrię sesji na potrzeby audytu. Wymagaj zgodności urządzenia, aby nawiązać połączenie, i ogranicz osoby udzielające pomocy do roli Operatora pomocy technicznej (Help Desk Operator) lub roli niestandardowej.
Tunnel zapewnia VPN dla poszczególnych aplikacji (per-app VPN) oraz „Tunnel for Mobile App Management (MAM)” dla niezarejestrowanych urządzeń BYOD. Wymusza dostęp do sieci na zasadzie najniższych uprawnień, zezwalając na niego tylko z aplikacji zarządzanych lub objętych zasadami.

Brama Microsoft Tunnel VPN działa na systemie Linux (Ubuntu LTS lub RHEL) za Twoją zaporą sieciową. W usłudze Intune utwórz lokację (site) Tunnel, wygeneruj konfigurację serwera i użyj skryptu instalacyjnego, aby wdrożyć kontenery i usługi na jednym lub wielu serwerach Linux. Użyj publicznego certyfikatu TLS zaufanego przez urządzenia; otwórz port TCP 443 z internetu do bramy; sklastruj wiele serwerów w ramach jednej lokacji, aby zapewnić wysoką dostępność. Zdefiniuj w Intune profile VPN, które włączają per-app VPN, aby tylko wyznaczone aplikacje na iOS/iPadOS i Android przesyłały ruch przez tunel. Na systemach Android i iOS aplikacja Microsoft Defender for Endpoint pełni funkcję klienta tunelu zarówno dla scenariuszy zarządzanych przez MDM, jak i MAM. Przypisz per-app VPN razem z zasadami konfiguracji i ochrony aplikacji, aby zbudować ścieżkę zero-trust: zgodne urządzenie, zatwierdzona tożsamość, chroniona aplikacja, sieć o najniższych uprawnieniach. W przypadku BYOD na niezarejestrowanych urządzeniach, Tunnel for MAM działa w parze z zasadami ochrony aplikacji Intune, aby zapewnić dostęp do sieci dla poszczególnych aplikacji bez konieczności rejestracji urządzenia.

Migracja dzierżawy i kopia zapasowa konfiguracji

Intune nie posiada funkcji tworzenia kopii zapasowej jednym przyciskiem. Traktuj konfigurację jako kod i automatyzuj jej eksport. Przed migracją między dzierżawami lub testem odtwarzania awaryjnego (DR) zinwentaryzuj i uporządkuj zależności:

Podstawowe tożsamości i konektory: Apple MDM Push Certificate (zachowaj oryginalny Apple ID), tokeny Apple VPP/ASM, powiązania Google Enterprise, konektory certyfikatów (PKCS, SCEP, PFX), połączenia z Windows Store, TeamViewer lub Remote Help, witryny Tunnel oraz Intune Connector for AD
Główne obiekty: tagi zakresu, role i przypisania RBAC, filtry, kategorie urządzeń, polityki zgodności, profile konfiguracyjne (katalog ustawień i szablony), polityki bezpieczeństwa punktów końcowych, pierścienie Windows Update oraz aktualizacje funkcji/jakości, skrypty, bazowe konfiguracje ASR i zapory sieciowej, strona stanu rejestracji (Enrollment Status Page), profile Autopilot, ograniczenia i tokeny rejestracji
Aplikacje: Microsoft 356 Apps, aplikacje ze sklepu, pakiety LOB (.msi, .intunewin, .ipa, .apk lub linki Google Play), polityki konfiguracji i ochrony aplikacji, zależności, zastępowanie oraz ustawienia optymalizacji dostarczania
Przypisania: grupy użytkowników/urządzeń i filtry, do których odnoszą się wszystkie powyższe elementy

Użyj Microsoft Graph z Graph PowerShell SDK lub skryptów automatyzujących, aby wyeksportować pliki JSON każdej polityki wraz z jej przypisaniami. Przechowuj wyeksportowaną konfigurację w systemie kontroli wersji i oznaczaj wydania tagami. Dla aplikacji LOB i Win32 zachowaj oryginalne pakiety; musisz ponownie przesłać ich zawartość do docelowej dzierżawy. W docelowej dzierżawie najpierw odbuduj konektory tożsamości (APNs, ABM/ASM, Google, konektory certyfikatów), następnie zaimportuj RBAC i tagi zakresu, a po nich filtry, polityki zgodności, konfiguracji i bezpieczeństwa, a na końcu aplikacje. Odtwórz profile Autopilot i ESP, wyeksportuj hashe urządzeń ze źródła (lub pozyskaj je od producenta OEM) i zarejestruj urządzenia w docelowej dzierżawie. Weryfikuj przypisania za pomocą etapowych grup pilotażowych; monitoruj stan wdrożenia urządzeń i aplikacji, konflikty polityk oraz regresje w wynikach analityki punktów końcowych. Zamroź zmiany na czas przejścia i udokumentuj kroki wycofania (rollback). Ustanów cykliczny harmonogram eksportu w celu bieżącego tworzenia kopii zapasowych i dołączaj dzienniki audytu oraz ekstrakty z Data Warehouse, aby zachować kontekst operacyjny.

Praktyczny scenariusz problemowy

Starbucks stoi przed trzema wyzwaniami: segmentacją obowiązków administracyjnych między regionami, zabezpieczeniem zmian o wysokim ryzyku oraz umożliwieniem bezpiecznego dostępu do starszego intranetu z urządzeń mobilnych bez konieczności rejestrowania każdego telefonu.

Zdefiniuj RBAC i tagi zakresu

Utwórz tagi zakresu dla regionów AMER, EMEA i APAC. Zbuduj niestandardowe role App Curator i Policy Curator z uprawnieniami tylko do tworzenia/odczytu/aktualizacji aplikacji lub profili urządzeń, bez uprawnień do usuwania. Przypisz rolę App Curator (EMEA) do grupy administracyjnej inżynierów z EMEA, ograniczając jej zakres do grup urządzeń/użytkowników z EMEA i tagu zakresu EMEA. Wymusza to zasadę najmniejszych uprawnień i regionalny podział obowiązków.

Dlaczego: Tagi zakresu ograniczają widoczność do obiektów regionalnych, zapobiegając rozbieżnościom między regionami. Niestandardowe role zmniejszają promień rażenia w porównaniu z pełną rolą Administratora Intune.

Włącz zatwierdzanie przez wielu administratorów

W sekcji administracji dzierżawą (Tenant administration) utwórz polityki zatwierdzania, które będą wymagać akceptacji dla przypisań aplikacji do grup Wszyscy użytkownicy/Wszystkie urządzenia oraz dla usuwania aplikacji i profili konfiguracyjnych urządzeń. Ustaw jako zatwierdzających globalną grupę właścicieli platformy Intune i wymagaj, aby osoba zatwierdzająca była inna niż wnioskująca.

Dlaczego: Warunkowanie zmian o dużym wpływie zapobiega przypadkowym awariom w całej dzierżawie i wspiera audytowalność.

Wdróż Microsoft Tunnel z per-app VPN

Uruchom witrynę Microsoft Tunnel z dwoma serwerami Ubuntu LTS za load balancerem, opublikuj port TCP 443 i przypisz publiczny certyfikat TLS. Utwórz profile per-app VPN dla systemów iOS i Android, które będą kierować tylko ruch dla aplikacji mobilnych Starbucks do zamówień i aplikacji HR. Użyj aplikacji Microsoft Defender for Endpoint jako klienta tunelu i połącz ją z politykami ochrony aplikacji. Dla urządzeń BYOD kontraktorów użyj Tunnel for MAM, aby uniknąć rejestracji urządzeń, jednocześnie wymuszając ochronę danych na poziomie aplikacji.

Dlaczego: Per-app VPN ogranicza ekspozycję sieciową tylko do zatwierdzonych aplikacji i kieruje wyłącznie niezbędny ruch. Tunnel for MAM zapewnia bezpieczny dostęp bez zarządzania całym urządzeniem.

Wzmocnij hybrydowe dołączanie Autopilot tam, gdzie jest to potrzebne

Zainstaluj Intune Connector for Active Directory na dwóch serwerach przyłączonych do domeny z ograniczonymi uprawnieniami do jednostek organizacyjnych (OU). Skonfiguruj profile dołączania do domeny Autopilot dla każdego regionu i wymagaj przewodowego onboardingu w biurach korporacyjnych lub wstępnego przygotowania (pre-provisioning) przez dział IT.

Dlaczego: Zapewnia niezawodne dołączanie do domeny w trybie offline z dostępem do katalogu na zasadzie najmniejszych uprawnień i pozwala uniknąć błędów OOBE spowodowanych brakiem osiągalności domeny.

Ustanów proces tworzenia kopii zapasowych konfiguracji i gotowość do migracji

Zautomatyzuj codzienny eksport polityk i przypisań za pomocą Microsoft Graph do repozytorium Git. Archiwizuj pakiety Win32 na zewnątrz. Dokumentuj i zapisuj w kalendarzu terminy odnowienia dla APNs, VPP/ASM i powiązań Google.

Dlaczego: Konfiguracja przechowywana w systemie kontroli wersji i zachowana zawartość aplikacji umożliwiają szybkie odzyskiwanie i płynną migrację, z pełną identyfikowalnością zmian.

← Ochrona danych i zarządzanie informacjami · Wszystkie domeny

Przećwicz te pytania → · Testy na czas na ExamRoll.io →